Pentest-Bericht verstehen und umsetzen: Befunde priorisieren, beheben, nachtesten

Ein Pentest-Bericht ist eine Arbeitsliste, kein Abschlusszeugnis. Sein Wert entsteht erst, wenn die Befunde priorisiert, einer verantwortlichen Person zugewiesen, mit einer Frist versehen und nach der Behebung erneut geprüft werden. Dieser Beitrag zeigt, wie Sie den Bericht lesen, Schweregrade verstehen und aus den Ergebnissen einen Umsetzungsplan machen.

Aufbau eines guten Berichts

Ein brauchbarer Bericht besteht meist aus diesen Teilen:

Management-Zusammenfassung: Gesamtbild in verständlicher Sprache, die wichtigsten Risiken, grobe Empfehlungen.
Umfang und Methodik: Was wurde geprüft, mit welchem Vorgehen, in welchem Zeitraum, und was nicht.
Befundliste: Jeder Befund mit Titel, Beschreibung, betroffenem System, Schweregrad, Nachweis, Schritten zur Nachvollziehung und Empfehlung.
Positive Feststellungen: Was funktioniert gut? Das hilft bei der Einordnung.
Anhänge: Technische Details, Werkzeuge, Zeitprotokolle.

Fehlt der Nachweis oder die Beschreibung der Schritte, können Entwickler den Fund schwer reproduzieren und beheben. Verlangen Sie diese Angaben bereits im Angebot, wie in Pentest beauftragen: Ablauf und Freigaben beschrieben.

Schweregrade verstehen

Viele Berichte nutzen das Common Vulnerability Scoring System (CVSS), das Schwachstellen auf einer Skala von 0 bis 10 einordnet. Üblich sind Stufen wie niedrig, mittel, hoch und kritisch. Wichtig: Der Grundwert beschreibt die technische Schwere, nicht automatisch das Risiko in Ihrer Umgebung. Ein Fund mit hoher Bewertung auf einem isolierten Testsystem ist weniger dringlich als ein mittlerer Fund auf Ihrem zentralen Kundenportal.

Schweregrad	Bedeutung (allgemein)	Typische Reaktion
Kritisch	Ausnutzung einfach, Auswirkung sehr groß, etwa Übernahme des Systems oder Zugriff auf alle Daten	Sofort, oft Notfallmaßnahme
Hoch	Deutliches Risiko, Ausnutzung realistisch	Innerhalb weniger Tage bis Wochen
Mittel	Ausnutzung erfordert Bedingungen oder hat begrenzte Wirkung	Im regulären Zyklus, zeitnah
Niedrig	Geringe Wirkung oder schwer auszunutzen	Bei Gelegenheit, in Sammelmaßnahmen
Hinweis	Verbesserungsvorschlag ohne direkte Schwachstelle	Prüfen und entscheiden

Die Fristen sind Beispiele. Legen Sie eigene Fristen in einer Richtlinie fest und halten Sie Abweichungen schriftlich fest.

Priorisieren nach Ihrem Kontext

Ergänzen Sie die Bewertung des Dienstleisters um Ihre eigene Sicht:

Betroffenes System: Wie wichtig ist es für das Geschäft, wie sensibel sind die Daten?
Erreichbarkeit: Ist die Schwachstelle aus dem Internet nutzbar oder nur intern?
Aufwand der Behebung: Manche Funde lassen sich mit einer Konfigurationsänderung schließen, andere erfordern Umbauten.
Verkettung: Funde, die zusammen einen Angriffsweg bilden, haben zusammen höhere Priorität.
Rechtliche Pflichten: Betrifft der Fund personenbezogene Daten oder regulierte Systeme?

Fragen Sie im Abschlussgespräch gezielt: Welche drei Maßnahmen bringen den größten Sicherheitsgewinn für den geringsten Aufwand?

Umsetzungsplan in fünf Schritten

Befunde erfassen: Jeden Befund als Ticket anlegen, mit Verweis auf den Bericht.
Verantwortliche benennen: Entwicklung, Betrieb oder Dienstleister. Jede Aufgabe hat eine Person.
Fristen setzen: Orientiert am Schweregrad und realistisch.
Sofortmaßnahmen umsetzen: Zum Beispiel Zugänge sperren, Konfiguration ändern, Zugriffe einschränken.
Nachtest einplanen: Die Prüfung der Behebung durch den Dienstleister oder intern durch eine unabhängige Person.

Rechenbeispiel (illustrativ)

Ein Bericht enthält 1 kritischen, 3 hohe, 6 mittlere und 8 niedrige Befunde. Für die Behebung werden im Beispiel Personentage geschätzt: kritisch 2 Tage, hoch je 1,5 Tage, mittel je 0,75 Tage, niedrig je 0,25 Tage.

Kritisch: 1 × 2 = 2 Tage
Hoch: 3 × 1,5 = 4,5 Tage
Mittel: 6 × 0,75 = 4,5 Tage
Niedrig: 8 × 0,25 = 2 Tage

Summe: 13 Personentage. Bei einem internen Verrechnungssatz von beispielsweise 600 Euro je Tag ergäben sich 7.800 Euro Behebungsaufwand. Die Zahlen sind frei gewählt, zeigen aber, dass die Behebung eine eigene Budgetposition ist. Prüfen Sie mit dem Investitionsrechner, wie sich Maßnahmen gegenüber dem erwarteten Schaden verhalten.

Umgang mit Befunden, die Sie nicht beheben wollen

Nicht jeder Befund wird sofort behoben. Das ist zulässig, sollte aber bewusst und dokumentiert geschehen:

Risikoakzeptanz: Die Geschäftsleitung oder die verantwortliche Stelle akzeptiert das Risiko schriftlich mit Begründung und Überprüfungsdatum.
Kompensierende Maßnahmen: Zum Beispiel Zugriffsbeschränkung, wenn ein Patch nicht möglich ist.
Verschiebung: Mit Frist und Verantwortlichen, damit der Fund nicht in Vergessenheit gerät.

Vertraulichkeit des Berichts

Der Bericht beschreibt Schwachstellen und gehört in den Kreis der Berechtigten. Speichern Sie ihn verschlüsselt, begrenzen Sie Zugriffe und regeln Sie, ob und in welcher Form Kunden einen Auszug erhalten. Eine verkürzte Bestätigung des Dienstleisters („Letter of Attestation“) kann für Kunden reichen, ohne technische Details preiszugeben. Klären Sie das vorab im Vertrag, siehe Verträge mit Dienstleistern.

Typische Fehler im Umgang mit Berichten

Alles gleichzeitig angehen: Besser nach Priorität.
Nur Symptome beheben: Ursachen wie fehlende Eingabeprüfung im Entwicklungsprozess verändern, nicht nur einzelne Stellen.
Fehlende Rückkopplung: Erkenntnisse nicht in Entwicklungsrichtlinien und Schulungen einfließen lassen.
Bericht an zu viele Personen weitergeben.

Wann Sie sich beraten lassen sollten

Wenn der Bericht Hinweise auf mögliche Datenabflüsse oder bereits erfolgte Angriffe enthält, ziehen Sie Datenschutz, Rechtsberatung und gegebenenfalls einen Incident-Response-Dienstleister hinzu. Prüfen Sie Meldepflichten umgehend.

Häufige Fragen

Muss ich alle Befunde beheben?

Nicht zwingend sofort, aber jeder Befund braucht eine Entscheidung: beheben, mildern, akzeptieren oder verschieben, jeweils begründet und dokumentiert.

Wie lange dauert die Behebung?

Das hängt von Art und Zahl der Befunde ab. Sofortmaßnahmen bei kritischen Funden dauern Stunden bis Tage, strukturelle Verbesserungen Wochen bis Monate.

Zahlt sich ein Nachtest aus?

Er schafft Gewissheit, dass Maßnahmen wirken. Gerade bei kritischen Funden ist er empfehlenswert und häufig Voraussetzung für Nachweise gegenüber Kunden.

Quellen und weiterführende Stellen

FIRST – CVSS — Beschreibung des Bewertungssystems
Bundesamt für Sicherheit in der Informationstechnik (BSI) — Hinweise zu Schwachstellenmanagement
OWASP Foundation — Ressourcen zu typischen Schwachstellen in Anwendungen